CVE-2023-28771
Zyxel Multiple Firewalls OS Command Injection Vulnerability
Beschreibung
CVE-2023-28771 ist eine kritische OS-Command-Injection-Schwachstelle in mehreren Zyxel-Firewall-Produktlinien, darunter die ZyWALL/USG-, VPN-, USG FLEX- und ATP-Serien mit Firmware-Versionen 4.60 bis 5.35. Die Sicherheitslücke entsteht durch eine fehlerhafte Verarbeitung von Fehlermeldungen, die es einem nicht authentifizierten Angreifer ermöglicht, über das Netzwerk beliebige Betriebssystembefehle auszuführen, indem er speziell präparierte Pakete an das betroffene Gerät sendet. Die CISA hat CVE-2023-28771 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 94,3 % gehört diese Zyxel-Schwachstelle zu den am wahrscheinlichsten ausgenutzten Sicherheitslücken und erfordert unverzügliches Handeln.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| zyxel | atp100 firmware | >= 4.60, < 5.36 |
| zyxel | atp100w firmware | >= 4.60, < 5.35 |
| zyxel | atp200 firmware | >= 4.60, < 5.36 |
| zyxel | atp500 firmware | >= 4.60, < 5.36 |
| zyxel | atp700 firmware | >= 4.60, < 5.36 |
| zyxel | atp800 firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 100 firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 100w firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 200 firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 50 firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 500 firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 50w firmware | >= 4.60, < 5.36 |
| zyxel | usg flex 700 firmware | >= 4.60, < 5.36 |
| zyxel | vpn100 firmware | >= 4.60, < 5.36 |
| zyxel | vpn1000 firmware | >= 4.60, < 5.36 |
| zyxel | vpn300 firmware | >= 4.60, < 5.36 |
| zyxel | vpn50 firmware | >= 4.60, < 5.36 |
| zyxel | zywall usg 310 firmware | >= 4.60, < 4.73; 4.73 |
| zyxel | zywall usg 100 firmware | >= 4.60, < 4.73; 4.73 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172820/Zyxel-IKE-Packet-Decoder-Unauthenticated-Remote-Code-Execution.html(Exploit, Third Party Advisory)
- https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-28771(US Government Resource)
Schwachstellentyp
CWE-78: OS Command Injection
Bei CVE-2023-28771 werden Benutzereingaben in speziell formatierten Netzwerkpaketen nicht ausreichend bereinigt, bevor sie an Betriebssystembefehle übergeben werden. Dadurch kann ein Angreifer beliebige Befehle auf den betroffenen Zyxel-Firewalls einschleusen und mit den Rechten des Firewall-Prozesses ausführen.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
CVE-2023-28771 hat mit einem CVSS-Score von 9.8 (kritisch) die höchstmögliche Auswirkungsstufe. Die Schwachstelle ist über das Netzwerk ausnutzbar ohne physischen Zugang zum Gerät, die Angriffskomplexität ist gering und es werden keine Authentifizierung oder Benutzerinteraktion benötigt. Vertraulichkeit (hoch): Ein Angreifer kann auf sämtliche Konfigurationsdaten, VPN-Zugangsdaten und interne Netzwerkinformationen der Firewall zugreifen. Integrität (hoch): Die vollständige Kontrolle über das Gerät ermöglicht das Manipulieren von Firewall-Regeln, das Einschleusen von Backdoors und die Veränderung des Netzwerkverkehrs. Verfügbarkeit (hoch): Der Angreifer kann die Firewall vollständig außer Betrieb setzen oder für Denial-of-Service-Angriffe missbrauchen. Mit einem EPSS-Score von 94,3 % besteht eine nahezu sichere Wahrscheinlichkeit aktiver Ausnutzung, was sofortiges Handeln erfordert.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-28771 über Packet Storm Security, der eine unauthentifizierte Remote-Code-Execution über den IKE-Paketdecoder demonstriert. Die CISA hat die aktive Ausnutzung dieser Schwachstelle in freier Wildbahn bestätigt und sie mit einer Behebungsfrist bis zum 21. Juni 2023 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,3 % (99,95. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivität hin und macht CVE-2023-28771 zu einer der am aktivsten ausgenutzten Schwachstellen.
Behebung
- Herstelleranweisungen befolgen: Gemäß CISA-KEV-Vorgabe Maßnahmen laut Zyxel-Herstelleranweisungen umsetzen oder das Produkt außer Betrieb nehmen, falls keine Patches verfügbar sind. Die Behebungsfrist war der 21. Juni 2023.
- Firmware aktualisieren: Alle betroffenen Zyxel-Firewalls auf eine Firmware-Version nach 5.35 (USG FLEX, VPN, ATP) bzw. nach 4.73 (ZyWALL/USG) aktualisieren. Die gepatchten Versionen sind im Zyxel Security Advisory dokumentiert.
- Netzwerkzugang einschränken: Den Zugriff auf die Management-Interfaces und IKE-Dienste (UDP-Port 500/4500) der Zyxel-Firewalls durch vorgeschaltete ACLs oder Netzwerksegmentierung auf vertrauenswürdige IP-Adressen beschränken.
- Protokollierung und IOC-Prüfung: Firewall-Logs auf ungewöhnliche eingehende Pakete und verdächtige Befehlsausführungen prüfen. Netzwerk-Traffic auf bekannte Exploit-Muster für CVE-2023-28771 untersuchen.
- Eingabevalidierung härten: Langfristig sicherstellen, dass alle extern erreichbaren Dienste eine strikte Eingabevalidierung implementieren und keine unkontrollierten Benutzereingaben an Systemkommandos weitergegeben werden.
Technische Details
CVE-2023-28771 basiert auf einer OS-Command-Injection-Schwachstelle (CWE-78) in der Fehlerbehandlungsroutine der Zyxel-Firewall-Firmware. Die fehlerhafte Verarbeitung von Fehlermeldungen ermöglicht es, speziell formatierte Netzwerkpakete zu senden, deren Inhalt ohne ausreichende Bereinigung an Betriebssystembefehle übergeben wird. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass der Angriff netzwerkbasiert erfolgt, keine besonderen Voraussetzungen erfordert und vollständige Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Systems ermöglicht. Der öffentlich verfügbare Exploit nutzt den IKE-Paketdecoder als Angriffsvektor, um über manipulierte IKE-Pakete Befehle auf Betriebssystemebene einzuschleusen. Betroffen sind die Firmware-Versionen 4.60 bis 4.73 (ZyWALL/USG) bzw. 4.60 bis 5.35 (VPN, USG FLEX, ATP).
Häufig gestellte Fragen
Wird CVE-2023-28771 aktiv ausgenutzt?
Ja, die CISA hat CVE-2023-28771 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,3 % (99,95. Perzentil) unterstreicht die extrem hohe Wahrscheinlichkeit der Ausnutzung. Ob die Schwachstelle im Zusammenhang mit Ransomware verwendet wird, ist derzeit nicht bestätigt.
Welche Produkte sind von CVE-2023-28771 betroffen?
Betroffen sind Zyxel-Firewalls der Serien ZyWALL/USG (Firmware 4.60 bis 4.73), VPN (Firmware 4.60 bis 5.35), USG FLEX (Firmware 4.60 bis 5.35) und ATP (Firmware 4.60 bis 5.35). Dies umfasst zahlreiche Modelle wie ATP100, ATP200, ATP500, ATP700, ATP800, USG FLEX 50/100/200/500/700, VPN50/100/300/1000 und ZyWALL USG 100/310.
Wie behebe ich CVE-2023-28771?
Die wichtigste Maßnahme ist das sofortige Firmware-Update auf die vom Hersteller bereitgestellte gepatchte Version. Zusätzlich sollte der Zugriff auf Management-Interfaces und IKE-Dienste durch Netzwerksegmentierung eingeschränkt werden. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2023-28771?
Mit einem CVSS-Score von 9.8 von 10 wird CVE-2023-28771 als kritisch eingestuft. Die Schwachstelle ermöglicht unauthentifizierte Remote-Code-Execution ohne Benutzerinteraktion. Der EPSS-Score von 94,3 % im 99,95. Perzentil bedeutet, dass diese Schwachstelle aktiver ausgenutzt wird als nahezu alle anderen bekannten Sicherheitslücken.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.